Sintesi Tecnica: Mitigazione degli Attacchi Basati sul Tempo nei Sistemi Ciber-Fisici Real-Time

Definizione del Problema

I sistemi Ciber-Fisici (CPS) real-time, come quelli nei domini automotive, avionica e IoT industriale, si affidano all'esecuzione deterministica dei task per garantire sicurezza e correttezza. Questo determinismo, spesso ottenuto tramite lo scheduling Preemptive Fixed-Priority (PFP), crea involontariamente dei canali collaterali temporali (timing side-channels). Gli avversari possono sfruttare la natura prevedibile di questi programmi per inferire i pattern di esecuzione di task di controllo ad alta priorità, definiti "vittime".

Nello specifico, il documento affronta gli Attacchi Basati sullo Scheduling (SBA - Schedule-Based Attacks). In questi attacchi, un avversario compromette un task a bassa priorità e non attendibile per prevedere i tempi di arrivo di un task di controllo "vittima" ad alta priorità. Calcolando l'Attack Effective Window (AEW) — ovvero l'intervallo temporale che segue l'esecuzione di un task vittima durante il quale i suoi buffer dati sono vulnerabili — l'attaccante può lanciare attacchi di False Data Injection (FDI). Questi attacchi manipolano gli input di controllo memorizzati in buffer I/O condivisi, potendo degradare le prestazioni del controllo a ciclo chiuso o causare il fallimento del sistema.

Le difese esistenti, come la randomizzazione dello scheduling o l'isolamento temporale, spesso non tengono conto delle implicazioni critiche di tali modifiche sulla performance del controllo e sulla schedulabilità. La randomizzazione può aumentare i context switch e le violazioni dei deadline, mentre l'iniezione di rumore (ad esempio, distribuzione di Laplace) può violare le rigide garanzie temporali richieste dai sistemi safety-critical hard real-time.

Metodologia: Il Framework SecureRT

Gli autori propongono SecureRT, un framework che mitiga gli attacchi di inferenza temporale introducendo ritardi strutturati e limitati a livello di job per i task di controllo vittima. L'approccio è progettato per minimizzare la sovrapposizione temporale tra l'AEW della vittima e l'esecuzione di task non attendibili senza violare le garanzie real-time o degradare la qualità del controllo.

Il framework opera attraverso tre fasi sequenziali:

1. Analisi al Tempo di Progetto (Design-Time Analysis)

• Analisi della Schedulabilità (WCRT): Il framework esegue un'analisi conservativa del Worst-Case Response Time (WCRT) per determinare il ritardo di picco a livello di job ($\Delta^{peak}_v$). Questo è il ritardo massimo che può essere applicato ai rilasci dei job di un task vittima senza causare la perdita dei deadline del task stesso o di altri task a priorità inferiore. L'analisi tiene conto dell'interferenza "carry-in" da parte di task ad alta priorità e del jitter introdotto dai rilasci ritardati.
• Analisi della Performance del Controllo: Riconoscendo che i ritardi influenzano la dinamica del sistema fisico, gli autori modellano il task di controllo come un sistema LQR (Linear Quadratic Regulator) consapevole del ritardo. Essi sintetizzano un controllore resistente ai ritardi e calcolano il ritardo massimo ammissibile ($\Delta^{max}_i$). Questo è il ritardo più grande che mantiene il costo del controllo ($J$) al di sotto di una soglia prestabilita ($J_{Th}$) definita dal progettista del sistema.
• Formulazione di Ottimizzazione: Viene formulata un'ottimizzazione per generare una sequenza ottimale di ritardi a livello di job ($\Delta_i$) per ogni task di controllo. L'obiettivo è minimizzare la totale sovrapposizione temporale tra gli AEW dei task vittima e le finestre di esecuzione di tutti i task non attendibili su un iperperiodo.
  • La funzione di sovrapposizione è non lineare e a tratti. Per risolverla, gli autori la linearizzano utilizzando la Programmazione Lineare Intera Mista (MILP). Introducono variabili ausiliarie continue e variabili decisionali binarie (utilizzando il metodo Big-M) per trasformare il calcolo della sovrapposizione in vincoli lineari adatti a solver standard (es. Gurobi).

2. Esecuzione al Tempo di Runtime (Scheduler PFP-d)

Il framework integra uno scheduler personalizzato, PFP-d (Preemptive Fixed Priority con delay), con un rilevatore di anomalie online.

• Rilevamento Anomalie: Ogni ciclo di controllo è dotato di un rilevatore di residui basato su $\chi^2$ che monitora la differenza tra output misurati e stimati. Se la statistica supera una soglia ($Th$), un attacco viene segnalato.
• Mitigazione: Al rilevamento di un attacco su un determinato task vittima, lo scheduler passa dal PFP standard al PFP-d. Recupera la sequenza di ritardi ottimale precalcolata e applica il relativo ritardo al tempo di rilascio dell'attuale istanza di job e delle successive istanze del task vittima.
• Reset: La mitigazione rimane attiva per una durata predefinita ($T_{RES}$), dopodiché il sistema torna alla normale operatività.

3. Complessità e Overhead

L'algoritmo di runtime (Algoritmo 1) opera con una complessità $O(1)$ per ogni step temporale. Poiché le sequenze di ritardo ottimali sono calcolate offline e memorizzate, l'overhead di runtime è trascurabile, rendendo l'approccio adatto a piattaforme embedded con risorse limitate.

Contributi Chiave

1. Ottimizzazione Congiunta di Sicurezza e Controllo: A differenza dei lavori precedenti che si concentrano esclusivamente sull'oscuramento dello scheduling, SecureRT tiene esplicitamente conto dell'impatto delle modifiche allo scheduling sulle prestazioni del controllo a ciclo chiuso e sulla schedulabilità.
2. Derivazione di Ritardi Limitati: Il documento deriva limiti superiori rigorosi per i ritardi a livello di job ($\Delta^{peak}$ e $\Delta^{max}$) che garantiscono sia la schedulabilità del sistema che la stabilità del controllo.
3. Sintesi del Ritardo Ottimale: Viene presentata una nuova formulazione MILP per generare sequenze di ritardi a livello di job cicliche e ottimali che minimizzano la superficie di attacco (sovrapposizione AEW) rispettando i limiti derivati.
4. Framework SecureRT: L'integrazione di un rilevatore $\chi^2$ online con uno scheduler PFP-d personalizzato fornisce un meccanismo di difesa pratico e leggero contro gli attacchi SBA posteriori.

Risultati Sperimentali

Gli autori hanno valutato SecureRT utilizzando un caso studio automobilistico realistico (controllori Cruise Control, ESP e Trajectory Tracking) implementato su un Raspberry Pi 4 con un kernel Linux patchato (PREEMPT_RT) per garantire un comportamento hard real-time.

• Case Studies: Sono stati confrontati quattro scenari:
  1. Baseline (PFP, No Attack): Il sistema opera normalmente.
  2. Attack (PFP, No Delay): Un attaccante esegue con successo un FDI, causando una deviazione significativa nello stato del piano e un aumento costante del costo di controllo.
  3. Random Delays (Stato dell'arte): L'applicazione di ritardi casuali (distribuzione di Laplace) ha ridotto la prevedibilità ma non è riuscita a prevenire costantemente l'FDI, portando a una degradazione delle prestazioni e all'aumento dei costi.
  4. SecureRT (PFP-d): La sequenza di ritardi ottimale ha minimizzato con successo la sovrapposizione tra l'AEW della vittima e la finestra di esecuzione dell'attaccante. Il sistema ha mantenuto un tracciamento stabile del piano e il costo di controllo è rimasto vicino al valore nominale nonostante l'attacco in corso.
• Miglioramento Quantitativo: Nel caso studio automobilistico, la sequenza di ritardi ottimale ha ridotto la durata della sovrapposizione disponibile per gli attacchi FDI del 60% (da 45ms a 18ms).
• Schedulabilità Generale: Esperimenti sintetici estesi attraverso vari range di utilizzo e numero di task (5, 10 e 20 task) hanno dimostrato che SecureRT mantiene un'alta schedulabilità, specialmente quando i task vittima sono ad alta priorità e l'utilizzo del sistema è da basso a moderato.

Significato e Rivendicazioni

Il documento afferma che SecureRT rappresenta un avanzamento significativo rispetto alle strategie di mitigazione esistenti, colmando il divario tra cybersecurity e teoria del controllo. Il suo significato primario risiede nella capacità di proteggere i carichi di lavoro di controllo real-time contro gli attacchi di inferenza temporale senza compromettere le garanzie deterministiche o le prestazioni fisiche del sistema.

Gli autori sottolineano che il loro approccio non è un semplice esercizio teorico, ma una soluzione implementabile in ambienti con risorse limitate. Utilizzando ritardi strutturati e limitati anziché una randomizzazione illimitata, SecureRT assicura che i sistemi safety-critical possano operare entro limiti di prestazione predefiniti, riducendo significamente la superficie di attacco. Il lavoro conclude osservando che le estensioni future mireranno ad applicare questo framework a sistemi multi-core e scheduler a priorità dinamica (come EDF).